vi har intet ISO-certifikat, hvordan besvarer jeg det spørgsmål alligevel godt

Intet certifikat er ikke "nej", men derimod en anden dokumentation

Udfyld ikke automatisk "nej" til dette spørgsmål. Et ISO 27001-certifikat er bevis fra en revisor for, at ledelsessystemet opfylder standarden — men det underliggende spørgsmål fra din kunde handler normalt om selve foranstaltningerne, ikke om papiret. Hvis du har politik for adgangskontrol, hændelseshåndtering, kontinuitet og de øvrige elementer i Annex A til ISO 27001, kan du beskrive det uden at påberåbe dig et certifikat. Besvar derfor spørgsmålet i to lag: først fakta ("ikke certificeret"), derefter præcisering ("vel politik, der stemmer overens med følgende elementer"). På den måde forbliver svaret sandt, og giver det kunden alligevel noget brugbart.

I praksis opdeler spørgsmålslisten dette normalt allerede selv: ét spørgsmål om virksomhedens ISO 27001-certificat særskilt, og selvstændige spørgsmål om de underliggende foranstaltninger. Besvar dem sidste på deres egne præmisser — for eksempel spørgsmålet om adgangspolitik og styring af forretningsaktiver eller det om risikovurdering og sikring af informationssystemer. Hvis du for et specifikt element ikke har et dokument, svar da "nej" eller "delvist" på det — ikke på hele listen samtidigt, fordi certifikatet mangler. Ét manglende element skal ikke forringe alle øvrige svar.

Annex A og artikel 21, stk. 2, kræver foranstaltninger, ikke et certifikat

ISO/IEC 27001 selv består af to dele: kravene til ledelsessystemet og Annex A med kontrolforanstaltningerne (adgang, kryptering, leverandører, hændelser, kontinuitet og så videre). Et certifikat påviser, at en revisor har vurderet systemet; det er ikke den eneste måde at vise, at foranstaltningerne er til stede. Artikel 21, stk. 2, i NIS2-direktivet spørger også efter, hvad en organisation gør — ikke efter, hvilket certifikat den har. For de fleste spørgsmalslisteri gælder det derfor: politik og praksis, der kan påvises, besvarer kernen af spørgsmålet, selv uden ISO-certifikat.